Warnung iwwer gefilterten oder iwwerwaachten Mac-VPN: wat se erlaabt

Déi Warnung ass eng Autorisatioun, keng Diagnos. Wann macOS seet, datt eng Konfiguratioun den Trafik filtert oder iwwerwaacht, seet et Iech, datt eng Komponent, déi Dir approuvéiert hutt, de Wee gesäit, deen se deckt, a freet, ob dat akzeptabel ass. Den Dialog kann Iech net soen, wien d'Komponent bedreift, wat se opzeechent oder ob se eppes dechiffréiert. Déi Äntwerten stinn am Profil, an der Lëscht vun den Extensiounen an an de Certificaten um Apparat, dofir fänkt do un, amplaz de Saz nach eng Kéier ze liesen.

Liest d'Messag als Fro zum Ëmfang

All Aktivéierungsmessag weist op zwou Saachen, ouni se kloer ze nennen: d'Extensioun, déi den Trafik verschafft, an d'Konfiguratioun, déi den Trafik dohinner leet. Um aktuellen macOS sinn dat NetworkExtension-Systemextensiounen, an hir Installatioun oder Aktivéierung verlaangt eng Approuvatioun an den Systemastellungen. D'Formuléierung bleift breet, well d'Betribssystem net weess, ob deen, dee approuvéiert, eng IT-Adeelung, e VPN-Abonnement oder en Filteragent ass, deen mat eppes anescht kënnt.

Dofir deckt deeselwechten Text dräi verschidde Situatiounen of. E geréierten Mac kritt e Profil vun der Apparategestioun, e perséinleche Mac kritt eng Konfiguratioun vun enger App, déi Dir installéiert hutt, an e Sécherheetsprodukt kann e Filter installéieren, dee sech ni als VPN duerstellt. Keen vun dësen Etiketten entscheet d'Absicht. Se soen nëmmen, wien Dir als éischt froe musst.

Zwou Kommandoen trennen déi Fäll séier. Déi éischt lëscht installéiert Systemextensiounen an ob jidderee aktiv ass, déi zweet lëscht Konfiguratiounsprofiler mat hire Payloaden an der ënnerschriwwener Organisatioun.

systemextensionsctl list
profiles show -type configuration

Ënnerscheet en Tunnel vun engem Filter

En Pakettunnel gëtt dem Mac eng Route a dréit alles, wat d'Routingtabell dohinner schéckt. En Inhaltsfilter sëtzt um Niveau vun de Flëss, gesäit all Verbindung a kann se erlaben, blockéieren oder ëmleeden. E Produkt kann béides gläichzäiteg liwweren, an d'Warnung ännert sech net, wann et dat mécht. Den Ënnerscheed ass wichteg, well d'Beweiser, déi Dir sammelen, an d'Feeler, déi Dir gesi wäert, ënnerschiddlech sinn.

Kuckt d'Kategorie vun der Extensioun, net den Marketingnumm. En Tunnel erschéngt meeschtens als VPN-Konfiguratioun an als Netzwierkextensioun, wärend e Filter vläicht guer keng VPN-Service huet. Wann d'Produkt béide Modi ubitt, wielt déi aktiv Konfiguratioun een, an de Wiessel wënnt ännere wat ofgedeckt ass, ouni de Fournisseur ze wiesselen.

D'Lëscht vun de VPN-Servicen ass de séierste Wee, fir ze gesinn, ob et en Tunnel gëtt. En Filter, deen kee VPN ass, wäert net dran erschéngen, wat selwer eng nëtzlech Informatioun ass.

scutil --nc list

E verbonne-Pabeier ass keen Beweis fir d'Ofdeckung. Appen kënnen duerch Reegele pro App ausgeschloss ginn, an den Trafik zu lokale Netzwierker ëmgeet den Tunnel dacks par Design. Wann eng App sech verhält, wéi wann se net iwwerwaacht gëtt, verdächtegt eng Route oder eng Ausnahme, éier Dir unhëlt, de Monitor sie futti.

Wat den Operateur léiert, ouni d'Payloaden ze liesen

Metadaten sinn keen Trostpräis. Adressen, Porten, DNS-Nimm, Verbindungszäiten, Byte-Zuelen an d'Authentiséierungsidentitéit si visibel fir d'Komponent um Wee. Widderholl Visite vun engem Host zur selwechter Stonn bauen eng Routin, an eng Routin kann méi soe wéi eng eenzeg Säit.

Dat ass déi éierlech Äntwert op déi üblech Fro. Den Operateur gesäit wou a wéini, och wann den Inhalt versiegelt bleift.

D'Visibilitéit vun de Payloaden erfuerdert eng zweet, méi staark Ännerung. Eng richteg validéiert HTTPS-Sessioun bleift fir en Tunnel oder en Flossfilter andurchsichteg, an dat selwecht gilt fir lokal Dateien an den Trafik, deen ni op den ofgedeckte Wee kënnt. D'Kierper vu Säiten ze liese verlaangt eng Certificatsautoritéit, där den Mac schonn vertraut, also en Interceptiounscertificat, deen mat senger eegener Approuvatioun installéiert gouf. Dee Schrëtt verschib d'Grenz vun Metadaten op den Inhalt an verdéngt eng separat Prüfung.

Den Ëmfang hält och um Apparat op. En Tunnel op engem Laptop deckt keen Telefon, keen Tablet an och net den Apparat vun enger anerer Persoun am selwechte Wi-Fi, an e Firmenclient kann d'Aner Gäscht vum Café net inventariséieren. Apparategestiounssoftwar kann méi sammelen, wéi den Tunnel verréit, awer dat ass eng separat Kontroll mat engem anere Policebesëtzer.

Préift de Certificatsstore, éier Dir a Panik geroden

Eng vertraut Wuerzel ass den Ënnerscheed tëscht Trafik kucken an en liesen. Préift de Systemschlësselbond fir Autoritéiten, déi Dir net erkennt, a notéiert déi, déi ongeféier zu der Zäit vun der Messag opgedaucht sinn. E geréierten Mac kann legal eng Inspektiounswuerzel droen, déi den Employeur eragestallt huet, a dann gehéiert d'Gespréich dem Administrateur. E perséinleche Mac, deen eng duerch Ongléck kritt huet, huet eng Entdeckung, déi et wäert ass, drop ze reagéieren. Schreift den allgemengen Numm, den Aussteller an den Datum vum Bäisetzen op, fir datt d'Fro spéider beäntwert ka ginn.

Vergläicht déi Lëscht mat deem, wat d'Apparategestioun mellelt. Wann d'Profillëscht an d'Certificatslescht net iwwerenee stëmmen, entscheet d'Certificatslescht, wat den Mac akzeptéiert.

Zwou Kommandoen decken de gréissten Deel vun der Prüfung. Déi éischt dréckt Konfiguratiounsprofiler, déi zweet dréckt Certificaten an deem vum Administrateur geréierten Systemschlësselbond, wou eng bäigefügte Wuerzel meeschtens landt.

profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychain

Apple seng Standardwuerzelen liewen an engem separate Schlësselbond an sinn hei net d'Suerg. En eidele Resultat vum zweete Kommando ass üblech op engem perséinleche Mac. En gefëllte Resultat verdéngt eng Lektür Sujet fir Sujet, éier Dir en verwierft.

Entscheet, a schreift dann op firwat

Eng Approuvatioun ass raisonnabel, wann Dir den Operateur, d'Komponent an de Grond nenne kënnt, a wann d'Ufro zu enger Wiel passt, déi Dir oder Är Organisatioun gemaach hutt. Eng Enquête ass déi richteg Reaktioun, wann d'Messag ouni Kontext kënnt, besonnesch no engem Netzwierkwiessel oder enger onzefälteger Installatioun. Trennt als éischt d'Verbindung, hält d'Profilkennung an d'Extensioun fest, an entscheet dann. D'Ewechhuele ass en drëtte Wee, an et restauréiert déi fréier Routing, ouni de Kont unzegräifen.

Behandelt Zoustimmung an Ewechhuele als separat Entscheedungen, déi zu verschiddenen Zäiten geholl ginn. E Filter haut z'approuvéieren verflicht Iech net, en ze behalen, an d'Ewechhuele vun engem Profil läscht keng serverseiteg Opzeechnungen, wat observéiert gouf, während en aktiv war.

Wann d'Messag no engem Update vun enger Software koum, déi Dir schonn notzt, liest d'Verëffentlechungsnotizen vun där Versioun, éier Dir klickt. D'Fournisseuren änneren d'Architektur vun den Extensiounen tëscht de Verëffentlechungen, an en neie Filter ka mat engem Routineupdate kommen. Wann d'Messag no engem Uschloss un en neit Netzwierk koum, behandelt den Zäitpunkt als Beweis a préift, wat sech geännert huet.

Hält eng kuerz Opzeechnung: Profilnumm, Extensiounskennung, Operateur, Certificatsfangerofdrock wann en derbäigesat gouf, an den Datum. Déi nächst Persoun kann aus där Zäitlinn ufänken amplaz aus der Formuléierung vun engem Dialog.